Mitarbeiterdaten: Setzt der Datenschutz dem Auskunftsanspruch des Betriebsrats Grenzen?

Das Thema

Der Arbeitgeber ist verpflichtet, den Betriebsrat zur Durchführung von dessen Aufgaben rechtzeitig und umfassend zu unterrichten (§ 80 Abs. 2 Satz 1 BetrVG). Die Ausübung von Beteiligungsrechten wie die Unterrichtung gemäß § 80 BetrVG ist grundsätzlich nicht schon deshalb unzulässig, weil sie mit der Verarbeitung personenbezogener Daten einhergeht. Mit anderen Worten: Der Arbeitgeber kann nicht auf die Unterrichtung oder Information des Betriebsrates mit Hinweis auf mögliche Verletzungen des Datenschutzrechtes verzichten. Oder doch?

Das BAG nahm bereits im letzten Jahr mit einer weiteren Entscheidung (BAG vom 24.4.2018 – 1 ABR 6/16) Stellung zu den Grenzen des Überwachungs- und Auskunftsrechts des Betriebsrats und gab Fallkonstellationen zu bedenken, in denen der Arbeitgeber das Auskunftsverlangen des Betriebsrats zulässigerweise ablehnen kann.

Darf der Betriebsrat die Namen schwangerer Arbeitnehmerinnen kennen?

Mit dieser konkreten Frage hatte sich das Bundesarbeitsgericht zu befassen (BAG v. 9. April 2019, 1 ABR 51/17). Es setzt sich in seiner Entscheidung mit wichtigen datenschutzrechtlichen Grundsätzen im Zusammenhang mit der betriebsverfassungsrechtlichen Unterrichtungspflicht des Arbeitgebers gegenüber dem Betriebsrat auseinander.

Widerspruch gegen Weitergabe der Information über die Schwangerschaft an den Betriebsrat

Im zugrunde liegenden Fall hatte der Arbeitgeber schwangeren Arbeitnehmerinnen in seinem Betrieb das Recht eingeräumt, der Weitergabe der Information über ihre Schwangerschaft an den Betriebsrat zu widersprechen. Hat die Arbeitnehmerin der Weitergabe der Information widersprochen, unterrichtete der Arbeitgeber den Betriebsrat nicht über die ihm angezeigte Schwangerschaft.

Der Betriebsrat sah sich durch dieses Vorgehen unzulässig an der Wahrnehmung seiner Aufgaben aus dem Betriebsverfassungsrecht behindert. Der Betriebsrat müsse darüber wachen können, dass die zugunsten einer schwangeren Arbeitnehmerin geltenden Gesetze, wie das Mutterschutzgesetz, durch den Arbeitgeber eingehalten werden.

Datenschutz und Auskunftsanspruch des Betriebsrats

Der Arbeitgeber ist verpflichtet, den Betriebsrat zur Durchführung von dessen Aufgaben rechtzeitig und umfassend zu unterrichten (§ 80 Abs. 2 Satz 1 BetrVG). Dieser Unterrichtungspflicht steht im Grundsatz nicht der Widerspruch der schwangeren Arbeitnehmerin gegen die Weitergabe der Information über ihre Schwangerschaft entgegen. Denn die Erfüllung der betriebsverfassungsrechtlichen Aufgaben des Betriebsrats hängt nicht von einer vorherigen Einwilligung der Arbeitnehmerin ab.

Auf Grundlage der bislang durch die Vorinstanzen getroffenen Feststellungen blieb nach Auffassung des Bundesarbeitsgerichts aber unklar, ob der Weitergabe der Information über die Schwangerschaft datenschutzrechtliche Gründe entgegenstehen.

Anforderungen des Datenschutzrechts müssen berücksichtigt werden

Die Ausübung von Beteiligungsrechten wie die Unterrichtung gemäß § 80 BetrVG ist grundsätzlich nicht schon deshalb unzulässig, weil sie mit der Verarbeitung personenbezogener Daten einhergeht. Die Betriebsparteien müssen dabei aber die Anforderungen des Datenschutzrechts beachten. Sind Gegenstand der Auskunft sensitive Daten (im Sinne von Art. 9 DSGVO), d.h. zum Beispiel Gesundheitsdaten, wie Angaben zur Schwangerschaft, gelten besondere Voraussetzungen für eine zulässige Verarbeitung.

Voraussetzung für eine zulässige Verarbeitung, wie die Weitergabe von Daten an den Betriebsrat ist, dass die Weitergabe der Daten zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist und darüber hinaus kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt (§§ 26 Abs. 3, 22 Abs. 2 BDSG).

Mitarbeiterdaten: Betriebsrat hat “angemessene Maßnahmen” zu ergreifen

Die Weitergabe der Information über die Schwangerschaft einer Arbeitnehmerin an den Betriebsrat ist im Sinne des Datenschutzrechts erforderlich, wenn diese Information für den Betriebsrat zur Wahrnehmung seiner betriebsverfassungsrechtlichen Aufgaben unerlässlich ist und er dies auch im konkreten Fall darlegen kann. Hierüber wird das Landesarbeitsgericht München, an das die Sache zurückverwiesen wurde, erneut zu entscheiden haben.

Darüber hinaus bestehe kein Grund zur Annahme, dass das schutzwürdige Interesse der betroffenen Arbeitnehmerinnen an dem Ausschluss der Weitergabe der Information überwiegt, wenn der Betriebsrat als Empfänger der übermittelten Daten angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Arbeitnehmerinnen trifft. Der Betriebsrat ist verpflichtet, das Vorhalten solcher Maßnahmen darzulegen.

Das Bundesarbeitsgericht hat dabei offen gelassen, ob der Betriebsrat als Teil des Arbeitgebers als verantwortliche Stelle oder selbst als eigener nach dem Datenschutzrecht Verantwortlicher verstanden wird. Denn bei der Weitergabe von Daten an den Betriebsrat hat der Arbeitgeber seinerseits die Beachtung der erforderlichen Schutzmaßnahmen nicht in der Hand. Unabhängig von der datenschutzrechtlichen Verantwortlichkeit muss der Betriebsrat also selbst für einen ausreichenden Schutz der Mitarbeiterdaten sorgen.

Zu diesen Maßnahmen gehören insbesondere Maßnahmen zum Schutz vor unbefugten Zugriffen (z.B. Passwortschutz), die Beschränkung von Zugriffsmöglichkeiten (z.B. nur für einzelne Betriebsratsmitglieder) sowie die Datenlöschung nach Wahrnehmung der Betriebsratsaufgaben. Fehlt es an solchen Schutzmaßnahmen oder sind diese unzureichend, ist die Verarbeitung sensitiver Daten unzulässig.

Gestaltungshinweis für die Praxis: Auskunft nur, wenn Betriebsrat Schutzmaßnahmen ergriffen hat?

Arbeitgeber müssen im Zusammenhang mit der Weitergabe sensitiver Daten, wie Gesundheitsdaten ihrer Arbeitnehmer, im Blick behalten, dass auch durch den Betriebsrat als Empfänger der Daten Schutzmaßnahmen getroffen werden müssen.

Der Arbeitgeber steckt nun in einem Dilemma, wenn der Betriebsrat Auskunft zu sensitiven Daten verlangt. Denn, wie das Bundesarbeitsgericht ausdrücklich betont, obliegt es dem Arbeitgeber aufgrund der Unabhängigkeit des Betriebsrats gerade nicht, diesem Vorgaben zu Schutzmaßnahmen zu machen. In der Praxis hat der Arbeitgeber in der Regel keinen Einblick, wie der Betriebsrat den Umgang mit (sensitiven) Mitarbeiterdaten organisiert und welche Schutzmaßnahmen er ergriffen hat. Es wäre natürlich theoretisch denkbar, dass der Arbeitgeber bei Unsicherheiten eine Herausgabe der Daten verweigert und eine gerichtliche Klärung herbeiführt. Der Betriebsrat müsste dann im Prozess das Bestehen ausreichender Schutzmaßnahmen darlegen und beweisen. Ein solches Vorgehen ist im Hinblick auf eine vertrauensvolle Zusammenarbeit mit dem Betriebsrat aber wenig gedeihlich.

Letztlich wird für den Arbeitgeber eine praktikable Lösung daher oftmals nur darin liegen, den Betriebsrat für das Erfordernis entsprechender Maßnahmen zum Schutz sensitiver Daten zu sensibilisieren. Gegebenenfalls kann auf Schutzmaßnahmen zurückgegriffen werden, die in anderem Zusammenhang vereinbart wurden (“bekannt und bewährt”). Es sollte auf eine Bestätigung zum Vorhandensein entsprechender Schutzmaßnahmen hingewirkt und dies entsprechend dokumentiert werden.

Zum Autorenprofil einschließlich den Kontaktmöglichkeiten zum Autor in den sozialen Medien

Zur #EFAR-Fokusseite von Hogan Lovells International LLP